Профіль DNS для iOS проти профілю VPN: який саме у вас

Хтось надсилає профіль для iPhone із заспокійливою назвою, він установлюється двома дотиками, і внутрішні імена починають розв’язуватися. Чи трафік також іде через тунель — окреме питання, і показана назва на нього не відповідає. Один профіль може нести кілька корисних навантажень, тож єдиний надійний крок — відкрити його і прочитати, що налаштовує кожне навантаження. Список короткий, назви навантажень нецікаві, і відповідь зазвичай стає очевидною, щойно ви їх побачите. Здогади за заголовком — це шлях, яким люди починають вірити, що їхній трафік іде через тунель, тоді як через тунель ідуть лише їхні запити.

Відкрийте список навантажень, а не заголовок

В iOS список профілів міститься в розділі Налаштування, Загальні, VPN і Керування пристроєм, і кожен запис відкривається не в один перемикач, а в перелік навантажень. Прочитайте цей перелік: навантаження налаштувань DNS, навантаження VPN, навантаження проксі, сертифікати, Wi-Fi. Профіль, що несе лише налаштування DNS, не є тунелем, як би він не називався, а профіль з обома виконує дві різні роботи водночас. Перелік — це технічне твердження, а заголовок — маркетинг.

Три питання перетворюють перелік на рішення. Чи змінюється розв’язання імен, чи змінюється публічна адреса джерела і які застосунки охоплює кожен ефект? Навантаження DNS відповідає на перше, навантаження VPN зазвичай відповідає на друге й третє, а все, що заявляє обидва, має показати два навантаження або задокументоване розширення.

Що насправді змінює навантаження DNS

Навантаження DNS змінює те, як розв’язуються імена в межах його налаштованої області, що може означати конкретний резолвер, зашифрований транспорт на кшталт DNS over HTTPS або обмежений набір доменів. Зазвичай воно не змінює публічну адресу джерела ваших з’єднань, тож сайти й далі бачать мережу, у якій ви перебуваєте. Розв’язання імен і маршрутизація — різні механізми, і змінився лише один із них. Тому внутрішнє ім’я може розв’язуватися правильно, поки сторінка за ним відмовляється завантажуватися.

Навантаження DNS також уводить сторону, яка отримує ваші запити, і якщо оператор резолвера не є оператором мережі, це новий учасник на шляху. Занотуйте це, бо змінюється те, хто може бачити, які імена ви запитуєте. Саме по собі воно не приховує адреси призначення, до яких ви підключаєтеся потім.

Що насправді змінює навантаження VPN

Навантаження VPN встановлює тунель і політику маршрутизації, і залежно від налаштувань воно може захоплювати весь трафік, лише перелічені призначення або лише перелічені застосунки. Виключення важливі не менше за включення, адже профіль із повним тунелем і двома виключеними доменами поводиться зовсім не так, як підказує назва. VPN для окремих застосунків може залишити браузер цілком поза тунелем, поки значок у рядку стану каже «підключено». Прочитайте списки включених і виключених, перш ніж вірити будь-якому з цих двох слів.

Тут адреса джерела справді змінюється, принаймні для трафіку, який захоплює тунель, і це та практична різниця, про яку насправді питає більшість. Усе інше — подробиці про те, який саме трафік.

Де застосунки Network Extension розмивають ярлик

Застосунок може встановити власне мережеве розширення, поведінку якого список профілів явно не описує, тож маркетингова назва й індикатор у рядку стану не є переліком. Відкрийте власний екран налаштувань застосунку поруч із навантаженнями профілю і порівняйте їх. Перемикач з написом «захист» може змінювати лише розв’язання імен, а перемикач з написом «приватний DNS» може змінювати лише резолвер. Там, де два джерела розходяться, вірте переліку навантажень і занотуйте різницю.

Ось чому застосунок може пройти швидку перевірку в одній мережі й зазнати невдачі на порталі авторизації, де розв’язання імен працює, а маршрутизація ні. Ці два механізми ніколи не були одним і тим самим.

Видаліть потрібний об’єкт і перевірте імена після цього

Видаліть конфігурацію через застосунок або службу керування, яка її встановила, скориставшись задокументованими Apple кроками видалення замість видалення знайдених вами файлів. Видалення профілю може забрати з собою пов’язані налаштування й дані, а керований профіль може відмовлятися йти, доки сторона керування не відпустить його. Видалення одного навантаження DNS ніколи не має вимагати знищення не пов’язаної з ним ідентичності VPN, від якої пристрій досі залежить. Розділіть об’єкти, перш ніж щось видаляти, а потім видаліть лише той, якому належить поведінка, яку ви намагаєтеся зупинити.

Після цього перевірте приватні імена, від яких залежить ваша робота, бо корпоративний застосунок може покладатися на резолвер, про який публічний DNS ніколи не чув. Така невдача зазвичай виявляється як помилка застосунку, а не як помилка DNS, через що її неправильно діагностують. Перевірте одне внутрішнє ім’я і одне публічне ім’я з того самого застосунку, і відповідь скаже вам, який об’єкт ви насправді видалили.